금감원, 디지털 리스크 감독체계 전환⋯“사후 제재서 사전 예방으로”

금융당국이 금융권 IT·정보보안 사고를 줄이기 위해 디지털 리스크 감독체계를 사후제재 중심에서 사전예방 중심으로 전환한다.

금융감독원은 7일 국회와 금융협회, 금융보안원, 국내외 보안업계 관계자들과 함께 ‘금융보안 패러다임 전환 간담회’를 열고 사전예방적 디지털 리스크 감독 방안을 논의했다. 최근 금융권에서 침해사고와 전산장애가 반복되는 상황에서 기존 보안 의식과 위험관리 수준, 감독 방식만으로는 사고를 근절하기 어렵다는 문제의식이 반영됐다.

이찬진 금감원장은 개회사에서 “최근 금융권의 침해사고와 전산장애가 기본적 의무 미준수나 내부통제 미흡에서 비롯된 경우가 많았다”며 “금융보안 패러다임을 근본적으로 바꿔야 한다”고 강조했다.

금감원은 이번 감독 방안의 핵심으로 금융회사 스스로 IT 리스크를 조기에 인식하고 적시에 대응하는 선제적 위험관리 체계 정착을 제시했다. 이를 위해 △금융보안 인식 전환 △선제적 위험관리 정착 △사전예방적 감독 전환 △사고 대응 체계 확립 △제도 개선 등 5대 추진전략을 추진할 계획이다.

우선 금융회사 임직원의 보안 의식과 역량을 높이기 위한 맞춤형 소통을 강화한다. CIO·CISO 등 경영진 간담회와 실무자 워크숍·세미나를 통해 보안 이슈와 위험관리 기법을 공유하고 금융보안을 중시하는 조직문화를 확산하겠다는 방침이다.

금융회사 차원의 선제적 위험관리도 강화한다. 금감원은 모든 IT 자산을 빠짐없이 식별·관리하고 중요도에 따라 취약점을 체계적으로 점검·보완하도록 유도할 계획이다. 취약점 분석·평가 제도가 실질적인 사고 예방 장치로 작동하도록 하고 자율 시정 체계 활성화도 추진한다.

감독 방식도 한층 촘촘해진다. 금감원은 보안 취약점 관리·감독을 강화하고 사고 개연성이 높은 고위험사를 선별해 경영진 면담과 현장점검 등을 통해 집중 관리할 방침이다. 기본적 의무 미이행이나 내부통제 미흡으로 침해사고가 발생한 경우에는 무관용 원칙에 따라 엄중히 책임을 묻겠다고도 했다.

상시 감시·환류 체계도 고도화한다. 올해 2월 본격 가동한 금융보안 통합관제 시스템 ‘FIRST’를 통해 금감원이 금융회사에 중요 보안 위협요인을 신속히 전파하고 금융회사 조치 결과를 다시 집계·평가하는 구조를 구축하겠다는 구상이다.

사고 대응 체계 정비도 병행한다. 금감원은 중대 사고 발생 시 신속하고 체계적으로 대응할 수 있도록 관련 가이드라인을 마련하고 합동 재해복구 전환 훈련과 블라인드 모의해킹, 버그바운티 등을 확대해 디지털 복원력을 강화할 계획이다.

제도 개선도 추진한다. 금감원은 전자금융거래법 개정 지원 등을 통해 금융회사의 선제적 리스크 관리와 감독당국의 사전예방적 감독을 제도적으로 뒷받침하겠다고 밝혔다. CEO와 CISO의 보안 책임 강화, 징벌적 과징금, 정보보호 공시 도입 등도 입법 과제로 제시됐다.

이날 참석자들은 보안 위협이 갈수록 지능화·정교화되는 만큼 IT·보안 사고 예방을 위해서는 금융보안을 중시하는 문화가 조직에 내재화돼야 한다는 데 공감했다. 각 금융협회는 사전예방적 감독 방안이 업권별로 효과적으로 이행될 수 있도록 적극 협조하겠다고 밝혔다.